[단독] "토스 얼굴 결제에 당했다"…손님 커피값 대신 낸 알바생

토스 페이스페이 허점 논란

뒷사람 얼굴 결제·사진 결제 소문도
토스·네이버 얼굴결제 확산 찬물

얼굴 검출·위변조 확인 기술 있지만
토스, ‘1초 결제’ 강조하다 절차 생략
신뢰 하락 우려…등록 해지 움직임도
네이버는 속도보다 안전성 힘줘

서울 송파구에 있는 한 카페 아르바이트생 김모씨는 지난 2일 ‘손님의 커피값’ 1만4000원을 대신 결제했다. 토스의 안면인식 결제 서비스 ‘페이스페이’가 손님 얼굴이 아닌 김씨의 얼굴을 잘못 인식한 탓이다.

김씨는 다음 날 아침에서야 자신이 쓰지도 않은 결제내역을 알고 당황했다. 김씨는 이날 겪은 ‘오결제 사연’을 SNS에 올렸고, 빠른 속도로 퍼졌다. 이후 ‘나도 당했다’는 식의 토스 페이스페이 오결제 사연이 속출하고 있다.

○토스 페이스페이 오결제 논란

김씨는 10일 한국경제신문과 인터뷰에서 “토스 페이스페이 결제 화면에 잠깐 얼굴이 스쳤을 뿐인데 동의한 적 없는 결제가 이런 식으로 이뤄질 줄 몰랐다”고 토로했다. 해당 카페는 소규모여서 포스기(계산기) 대신 아이패드를 활용한 ‘태블릿포스’로 결제가 이뤄지는 구조다. 손님이 페이스페이 결제를 요청해 아이패드를 보여주는 과정에서 김씨의 얼굴이 잠시 노출된 것으로 추정된다.

페이스페이는 지갑이나 스마트폰 없이 사전에 등록한 얼굴 정보만으로 결제할 수 있는 간편 결제 서비스다. 국내에서 안면 인식 결제 서비스를 적극 도입하고 확산 중인 곳은 토스와 네이버다. 토스가 지난해 9월 ‘페이스페이’, 네이버페이가 지난해 11월 ‘페이스사인’이라는 이름의 안면인식 결제 서비스를 내놓으며 본격 확산했다.

특히 토스는 결제 금액의 3%를 포인트로 적립해주거나 6000원, 3000원 할인 쿠폰 등을 뿌리며 관심을 끌었다. 시장 점유율은 공개되지 않지만 토스가 네이버를 크게 앞서는 것으로 알려졌다. 올해 7월 기준 토스 페이스페이 가입자는 700만명을 넘겼다. 네이버페이는 가입자 수를 공개하지 않고 있다. 해당 결제 기능이 담긴 단말기 보급 기준으로는 올해 상반기 기준 토스가 44만곳, 네이버페이가 10만곳이다.

하지만 유독 토스의 페이스페이를 둘러싼 잡음이 나오면서 확산세가 멈추는 분위기다. “다른 사람이 내 얼굴 사진을 이용해서 결제했다” “친구가 사겠다고 했는데 뒤에 서 있던 내 얼굴을 인식해서 내 것으로 결제됐다”는 식의 소문이 파다하다. 사례가 다양하고 구체적이어서 ‘어디까지가 사실인지 알 수 없지만 불안하다’는 인식이 생겨났다. 페이스페이 기술에 허점이 있는 것 아니냐는 반응도 있다.

○‘같지만 다른’ 접근…속도 vs 안정성

업계에선 토스 페이스페이의 문제점으로 ‘1초 결제’를 지목하고 있다. 간편하고 빠른 결제를 강조하려던 나머지 인증 과정을 과도하게 생략한 측면에 있다는 얘기다. 적용한 기술은 큰 틀에서 비슷하지만 토스와 네이버의 운영 방식은 다르다.

두 곳 모두 얼굴을 등록, 인식하고 결제가 이뤄지는 전 과정에 여러 단계의 기술과 보안 장치를 적용했다. 얼굴 검출, 품질 판단, 위변조 여부 확인, 본인 식별, 이상거래탐지 등 여러 단계가 빠르게 이뤄지는 구조다. 카메라에 인식된 얼굴이 실제 사람인지를 실시간으로 확인하는 기술 ‘라이브니스 디텍션’은 기본이다. 여기에 사진이나 동영상 등 ‘가짜 얼굴’로 속이려는 시도를 잡아내는 보안 기술인 ‘페이스 안티 스푸핑’(FAS)도 더했다.

이때 네이버페이는 인증 과정을 한 번 더 거치더라도 정확하게 결제하는 데 중점을 뒀다. 그렇다 보니 높은 정확도와 안정성이 대표 특징으로 꼽힌다. 네이버페이의 페이스사인에선 크게 잡음이 나오지 않는 이유다.

네이버페이는 단말기 화면 유도선 안에 얼굴 정면이 정확히 인식돼야 결제 인증 화면으로 넘어간다. 결제 단계에서는 딥러닝 모델을 기반으로, 암호화된 안면정보와 단말기에 인식된 얼굴을 대조한다. 이후 AI 기반으로 설계된 이상금융거래탐지시스템(FDS)를 통한 인증과정을 거쳐 대조 결과가 일치하면, 해당 결제자의 이름(가운데 글자 익명 처리)을 화면에 안내한다. 이때 나오는 ‘결제 확인’ 버튼을 눌러야 결제가 진행된다.

반면 토스에는 결제자의 이름을 화면에 안내하거나 추가 버튼을 누르는 기본 절차가 없다. 인식된 얼굴 정보가 확실하지 않거나 애매한 ‘유사도 구간’에 있을 때만 2차 인증을 요구한다. 인증 방법은 결제자의 휴대폰 중간번호 네 자리를 입력하는 식이다. 네이버의 경우 유사도 구간에서 결제자의 휴대폰 네이버 앱으로 푸쉬 알림을 보내 본인을 확인하는 2차 인증을 거친다.

업계 관계자는 “토스가 빠른 결제를 추구하면서 최종 확인 절차를 생략한 것”이라며 “본인 얼굴을 인식한 게 맞는지 당사자가 확인하지 않는다는 점이 치명적 결함”이라고 지적했다. 이에 대해 토스 측은 “기본 절차는 아니지만 평소에도 2차 인증을 원한다면 이용자가 별도 설정할 수 있다”고 설명했다.

토스는 오인식이나 본인이 시도하지 않은 결제가 확인되면 해당 결제 건에 대해 취소·환불을 해준다는 방침이다. 물론 아직은 제품 인식 오류나 결함보다는, 여러 사람이 한꺼번에 카메라 앞에 잡히는 등 환경적인 요인으로 발생하는 오결제 사례가 많은 것으로 알려졌다.

업계에선 ‘토스 오결제’ 논란이 커지면서 안면인식 결제에 대한 신뢰가 떨어지는 것을 우려하고 있다. 기술 측면에서 보완 조치 또는 적극적인 설명이 필요하다는 지적이다. 일부 커뮤니티를 중심으로 ‘토스 페이스페이 등록 해지’를 독려하는 분위기까지 확산하고 있다. 업계 관계자는 “편의성도 좋지만 금융 거래를 다루는 플랫폼은 안정성을 우선해야 한다”고 강조했다.

정지은/안정훈 기자